Ein Lieferant schickt ein PDF mit einem Logo und den Worten „zertifiziert nach ISO 9001:2015". Ob dieses PDF etwas bedeutet, hängt von zwei Dingen ab, die es sagen kann oder nicht: wer es ausgestellt hat, und wer den Aussteller akkreditiert. ISO, die Internationale Organisation für Normung, schreibt die Norm und zertifiziert niemanden; sie führt kein Register zertifizierter Unternehmen, und ein Zertifikat mit dem ISO-Logo darauf ist eher ein Warnzeichen als ein Beleg. Zertifiziert wird von Zertifizierungsstellen, privaten Unternehmen, und das Einzige, was eine Zertifizierungsstelle von einem Unternehmen unterscheidet, das PDFs verkauft, ist die Akkreditierung durch die nationale Akkreditierungsstelle eines EU-Mitgliedstaats, von denen die Verordnung (EG) Nr. 765/2008 genau eine je Staat verlangt. Dieser Artikel ist, was ein echtes Zertifikat zeigt, die drei Prüfungen, die das feststellen, und die 27 Register, gegen die geprüft wird.
Was ein echtes Zertifikat zeigt
ISO/IEC 17021-1, die Norm, an die Akkreditierungsstellen die Zertifizierungsstellen binden, verlangt, dass das Zertifizierungsdokument den Kunden und seinen Standort, die Norm und ihre Ausgabe, den Geltungsbereich der Zertifizierung, die Zertifizierungsstelle, die Daten der Erteilung und des Ablaufs und eine eindeutige Kennung nennt. Auf einem akkreditierten Zertifikat erscheint das Zeichen der Akkreditierungsstelle neben dem der Zertifizierungsstelle, mit deren Akkreditierungsnummer. Ein Zertifikat, das etwas bedeutet, zeigt also:
- Den Namen der zertifizierten Organisation und die erfassten Standorte.
- „ISO 9001:2015", die Ausgabe, nicht „ISO 9001" allein und niemals „ISO 9001:2008", deren Zertifikate alle im September 2018 am Ende des Übergangs abgelaufen sind.
- Eine Geltungsbereichsangabe in Worten: was die Organisation tut, das das Zertifikat abdeckt, zum Beispiel „Entwicklung und Support von Buchhaltungssoftware", nicht der wiederholte Firmenname.
- Den Namen der Zertifizierungsstelle und das Zeichen der Akkreditierungsstelle mit einer Akkreditierungsnummer.
- Die Daten: ein Ausstellungsdatum, ein Ablaufdatum drei Jahre nach der Erstzertifizierung und oft das Datum des laufenden Zyklus; die Zertifizierung ist ein Dreijahreszyklus mit einem Überwachungsaudit in jedem Jahr dazwischen.
- Eine Zertifikatsnummer, die die Zertifizierungsstelle nachschlagen kann.
Ein Zertifikat ohne Geltungsbereich, Akkreditierungszeichen oder Ausgabe ist nicht zwangsläufig falsch, aber jedes davon ist eine Frage, die vor dem Vertrauen darauf zu stellen ist.
Drei Prüfungen in zehn Minuten
Die Zertifizierungsstelle ist von einer nationalen Akkreditierungsstelle für ISO 9001 akkreditiert. Nehmen Sie den Namen der Zertifizierungsstelle und die auf dem Zertifikat genannte Akkreditierungsstelle, gehen Sie in deren Register, in der Tabelle unten verlinkt, und schlagen Sie die Zertifizierungsstelle nach. Das Register sagt, ob die Akkreditierung gültig, ausgesetzt oder entzogen ist, und für welche Normen: Die Akkreditierung für ISO 9001 ist von der für ISO 27001 oder ISO 14001 getrennt, und eine für die eine akkreditierte Stelle ist es damit nicht für eine andere. Eine Zertifizierungsstelle, die in keinem nationalen Register auftaucht, ist nicht akkreditiert, was immer ihre Website sagt.
Das Zertifikat ist gültig. Die meisten Zertifizierungsstellen veröffentlichen ein Verzeichnis der von ihnen ausgestellten Zertifikate, durchsuchbar nach Firmenname oder Zertifikatsnummer, und viele laden sie auch in IAF CertSearch hoch, die vom International Accreditation Forum betriebene Datenbank, in der ein Zertifikat über Zertifizierungsstellen hinweg nachgeschlagen werden kann. Ein Zertifikat, das das eigene Verzeichnis der Zertifizierungsstelle nicht zeigt oder als entzogen oder ausgesetzt zeigt, ist keines, auf das man sich verlassen sollte, und ein Zertifikat drei Jahre nach seinem Ausstellungsdatum ohne Rezertifizierung ist abgelaufen.
Der Geltungsbereich deckt ab, was Sie kaufen. Die Geltungsbereichsangabe ist die Grenze des Zertifikats: Ein Unternehmen, das für „Erbringung von IT-Supportdienstleistungen" zertifiziert ist, ist nicht für die Software zertifiziert, die es auch entwickelt, und ein Zertifikat für einen Standort deckt keinen anderen ab. Lesen Sie den Geltungsbereich gegen den Vertrag.
Bestehen die drei Prüfungen, ist das Zertifikat echt, gültig und einschlägig. Kann der Lieferant die Akkreditierungsstelle nicht nennen, keine Zertifikatsnummer angeben oder erklärt er, die Zertifizierungsstelle sei „international anerkannt", ohne in einem nationalen Register zu stehen, sehen Sie ein nicht akkreditiertes Zertifikat: für das Auge identisch, im Kauf etwa 40 bis 50% billiger und von öffentlichen und großen Auftraggebern routinemäßig abgelehnt, weshalb der Lieferant, der eines gekauft hat, danach meist ein akkreditiertes kauft, zum vollen Preis, denn ein nicht akkreditiertes Zertifikat lässt sich nicht übertragen.
Die 27 Register
Eine Stelle je Mitgliedstaat, alphabetisch, aus dem Mitgliederverzeichnis der EA; jede veröffentlicht das Register der von ihr akkreditierten Zertifizierungsstellen, mit Geltungsbereich. Gegen das EA-Verzeichnis geprüft am 11. August 2026.
| Land | Akkreditierungsstelle | Register |
|---|---|---|
| Belgien | BELAC, Belgian Accreditation Council | belac.fgov.be |
| Bulgarien | BAS, Bulgarian Accreditation Service | nab-bas.bg |
| Dänemark | DANAK, Den Danske Akkrediteringsfond | english.danak.dk |
| Deutschland | DAkkS, Deutsche Akkreditierungsstelle | dakks.de |
| Estland | EAK, Estonian Accreditation Centre | eak.ee |
| Finnland | FINAS, Finnish Accreditation Service | finas.fi |
| Frankreich | COFRAC, Comité français d'accréditation | cofrac.fr |
| Griechenland | ESYD, Hellenic Accreditation System | esyd.gr |
| Irland | INAB, Irish National Accreditation Board | inab.ie |
| Italien | ACCREDIA, Ente Italiano di Accreditamento | accredia.it |
| Kroatien | HAA, Croatian Accreditation Agency | akreditacija.hr |
| Lettland | LATAK, Latvian National Accreditation Bureau | latak.gov.lv |
| Litauen | LA, Lithuanian Accreditation and Standardization Agency | lasa.lrv.lt |
| Luxemburg | OLAS, Office Luxembourgeois d'Accréditation et de Surveillance | portail-qualite.public.lu |
| Malta | NAB-Malta, National Accreditation Board | nabmalta.org.mt |
| Niederlande | RvA, Raad voor Accreditatie | rva.nl |
| Österreich | AA, Akkreditierung Austria | bmwet.gv.at/akkreditierung |
| Polen | PCA, Polskie Centrum Akredytacji | pca.gov.pl |
| Portugal | IPAC, Instituto Português de Acreditação | www.ipac.pt |
| Rumänien | RENAR, Romanian Accreditation Association | renar.ro |
| Schweden | SWEDAC, Swedish Board for Accreditation and Conformity Assessment | swedac.se |
| Slowakei | SNAS, Slovak National Accreditation Service | snas.sk |
| Slowenien | SA, Slovenian Accreditation | slo-akreditacija.si |
| Spanien | ENAC, Entidad Nacional de Acreditación | www.enac.es |
| Tschechien | CAI, Czech Accreditation Institute | cai.cz |
| Ungarn | NAH, National Accreditation Authority | nah.gov.hu |
| Zypern | CYS-CYSAB, Cyprus Organization for the Promotion of Quality | www.gov.cy/meci-cysab/en/ |
Sie brauchen keine Zertifizierungsstelle im eigenen Land
Ein Zertifikat einer Stelle, die von einem Unterzeichner des multilateralen Abkommens der European co-operation for Accreditation akkreditiert ist, wird in allen anerkannt, sodass eine von der DAkkS akkreditierte Zertifizierungsstelle in Spanien so gut ist wie eine von der ENAC akkreditierte, und ein Auftraggeber, der „ein nationales Zertifikat" verlangt, verlangt etwas, das er nicht braucht. Außerhalb Europas ist das Gegenstück das multilaterale Abkommen des IAF. Das Einzige, was nicht mitreist, ist der Geltungsbereich: Prüfen Sie ihn im Register des Staats, der die Zertifizierungsstelle akkreditiert hat, nicht des Staats, in dem der Lieferant sitzt.
Was das mit uns zu tun hat
StandardOS stellt keine Zertifikate aus und kann es nicht: ISO/IEC 17021-1 verlangt, dass die Zertifizierungsstelle unabhängig von dem ist, der der Organisation bei der Vorbereitung geholfen hat, und dieselbe Trennung ist der Grund, warum diese Seite Sie zu einem Register schickt statt zu einem Partner. Was wir bauen, ist das Managementsystem, das eine Zertifizierungsstelle auditiert, für ISO 9001 als Abschnittsregister und für ISO 27001, und die Aufzeichnungen, die es erzeugt, tragen einen Hash, den jeder ohne uns prüfen kann. Die entsprechenden Prüfungen für ein ISO-27001-Zertifikat, mit denselben Registern, stehen auf der Seite zu den Zertifizierungsstellen; warum ein Auftraggeber das Zertifikat überhaupt verlangt, nach Land, steht in der Zählung der EU-Ausschreibungen mit ISO 9001.
Quellen
- Verordnung (EG) Nr. 765/2008, Artikel 4, eine nationale Akkreditierungsstelle je Mitgliedstaat.
- ISO/IEC 17021-1:2015, die Anforderungen an Stellen, die Managementsysteme zertifizieren, für den Inhalt von Zertifizierungsdokumenten, den Dreijahreszyklus und die Unabhängigkeitsanforderung, nach Nummer zitiert; der Text gehört der ISO.
- Die European co-operation for Accreditation, Verzeichnis der Mitglieder und MLA-Unterzeichner, gelesen am 11. August 2026.
- IAF CertSearch, die Zertifikatsdatenbank des International Accreditation Forum.
Dies ist keine Beschaffungs- oder Rechtsberatung. Ein heute gelesener Registereintrag ist der Stand von heute; lesen Sie ihn erneut, bevor Sie unterschreiben.